「Microsoft製品の脆弱性」に備える“公式お墨付き”の対策とは：Microsoft製品の危ない欠陥【第2回】

2023年7月に見つかったMicrosoft製品の脆弱性に、ユーザー企業はどう対処すればよいのか。脆弱性の詳細と、具体的な対策を紹介する。

[Alex Scroxton，TechTarget]

　2023年7月にMicrosoftが公表した、オフィススイート「Microsoft Office」などの同社製品に存在する脆弱（ぜいじゃく）性「CVE-2023-36884」。攻撃者がCVE-2023-36884を悪用すれば、Microsoft製品に入り込んで任意のコード実行が可能になるという。企業に対し、Microsoftはどのような保護策を推奨しているのか。

“Microsoftお墨付き”の対処法とは

併せて読みたいお薦め記事

連載：Microsoft製品の危ない欠陥

• 第1回：ロシア系攻撃集団が狙う「Microsoft Office」の脆弱性　なぜ危ない？

脆弱性に立ち向かうには

• 新発見の脆弱性どころか「古い脆弱性」が危ない当然の理由
• 「脆弱性」の悪用が深刻化　“あのブラウザ”や“あのGPU”も標的に

　MicrosoftはCVE-2023-36884を悪用する攻撃のリスクを減らすために、セキュリティ対策リストを公開した。同社はその中で、特に以下の対策を推奨している。

• Microsoft 365において、全てのOfficeアプリケーションによる子プロセス（親プロセスから起動されるプロセス）の作成をブロックする「攻撃面の縮小（ASR）ルール」を設定すること
  • それができない場合は、レジストリキー「FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION」を設定すること
    • FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATIONは、Officeアプリケーションがファイル共有用プロトコルを通じてファイルを受信できないようにするかどうかを判別するレジストリキー。
• セキュリティ機能「Microsoft Defender Antivirus」（Microsoft Defenderウイルス対策）を使用すること
  • Microsoft Defender Antivirusは、MicrosoftのDaaS（Desktop as a Service）「Windows 365 Cloud PC」のセキュリティ機能の一つ。

　セキュリティベンダーRapid7のリスク管理責任者、アダム・バーネット氏は今回の脆弱性について「かなりの数の企業が不安を感じている」とみる。業種や規模を問わない企業がMicrosoft Officeを広く導入しているため、脆弱性の影響が広がりやすいからだ。CVE-2023-36884を悪用した攻撃のリスクを減らすために、「企業は細心の注意を払うべきだ」とバーネット氏は注意喚起する。

　Microsoftは2023年7月のセキュリティアップデートで、CVE-2023-36884以外にも約130種類の脆弱性情報を公開した。主な脆弱性は以下の通りだ。

• CVE-2023-32046
  • マークアップ言語「HTML」形式ファイルの文字・画像配置計算プログラム「MSHTML」における権限昇格（EoP）に関する脆弱性
• CVE-2023-32049
  • セキュリティツール「Microsoft Defender SmartScreen」のセキュリティ機能バイパス（SFB：セキュリティ機能の回避）を可能にする脆弱性
• CVE-2023-35311
  • メールクライアント「Microsoft Outlook」のSFBを可能にする脆弱性
• CVE-2023-36874
  • アプリケーションのエラー報告ツール「Windows Error Reporting Service」のEoPに関する脆弱性

---

　第3回は、Microsoftが公表した“もう一つのセキュリティ問題”を取り上げる。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。